物理破壊で破綻したマルチAZ神話
深夜のオンコールアラートで叩き起こされ、障害ダッシュボードを確認すると特定のアベイラビリティゾーン（AZ）が赤く点滅している——我々インフラエンジニアにとって悪夢のような瞬間だ。しかし、今回のAWS中東リージョンで起きた事態は、単なる電源障害やネットワーク機器の不具合といったレベルの悪夢ではなかった。2026年3月1日、イランによるドローン攻撃がバーレーンおよびアラブ首長国連邦（UAE）のAWSデータセンター施設を物理的に破壊した。そして半年以上に及ぶ必死の復旧作業の末、AWSは「一部データのアクセス復旧は不可能」という敗北を認める声明を発表したのである。
我々が日常的に設計するハイアベイラビリティ（HA）構成の根幹は、「マルチAZ（Multi-AZ）」だ。1つのリージョン内に物理的に離れた複数のデータセンター（AZ）を配置し、電源やネットワーク、冷却システムを独立させることで、台風や地震といった局所的災害が発生しても別のAZへ即座にフェイルオーバーできる。AWSのベストプラクティスに従い「マルチAZ構成にしているから安心だ」と胸を張っていたアーキテクトは世界中に無数にいただろう。だが、今回の事件が突きつけたのは、マルチAZ設計の死角である。バーレーンリージョンでは、4月末までにドローン攻撃の継続的波及によってリージョン全体（全AZ）が壊滅し、サービス不能に陥った。これは単一障害点（SPOF）を回避する設計思想が、国家レベルの軍事力による面攻撃や物理的トラフィック（ドローン爆撃）の前には無力化され得るという悲惨な証左である。
クラウドプロバイダーが提供する「アベイラビリティゾーン間の物理的距離」は、通常数キロから数十キロ程度とされている。自然災害に対するレイテンシと分離性のバランスとしては合理的だが、近代兵器の射程や広域攻撃の前には、数キロの離隔など誤差に過ぎない。我々エンジニアは、これまで「物理レイヤーの冗長性」をクラウド事業者に丸投げし、抽象化されたAPIの向こう側にあるハードウェアの存在を半ば忘却していたのではないか。コード1行でインスタンスが立ち上がる快適な世界に浸る中で、そのコンピュート資源が砂漠の真ん中に立つコンクリートの建屋であり、空中を飛来する爆弾一発で炭化し得る物理存在であるという冷酷な現実に、我々は今一度叩き落とされたのだ。
データ「完全損失」の衝撃と責任の所在
半年間、クリーンルームで精密ドライバーを握り、焼け焦げたストレージボードから1ビットでも多くのデータを吸い出そうと格闘したであろうAWSの現場エンジニアたちの絶望を想像すると、胸が締め付けられる思いだ。しかし、現実として出された結論はあまりにシビアだった。UAEリージョンの特定AZ「mec1-az2」およびバーレーンリージョンの一部において、データは恒久的に失われた。
通常、AWSなどのハイパースケーラーは、ストレージメディアの故障に対して非常に高い堅牢性（S3ならば99.999999999%のデータ耐久性）を誇る。ハードドライブが何台死のうが、消滅エンコーディングや自動レプリケーションによってデータは自動修復される。だが、データセンターそのものが火災に包まれ、物理メディアが溶解・破砕された場合、数学的な確率計算は何の役にも立たない。ハードウェアが粉砕されたとき、そこに書き込まれていた0と1のビット列は文字通り世界から消滅する。
| リージョン名 | 影響を受けたAZ・リソース | 被害の概要と復旧状況 | 顧客データへの影響 |
|---|---|---|---|
| バーレーン | リージョン全体（複数AZ） | 3月1日の攻撃以降、4月末までに全域が停止。物理的破壊が甚大 | 単一リージョン保管のデータは完全に復旧不能 |
| UAE (アラブ首長国連邦) | mec1-az2 | データセンター建屋への直接的物理被害および火災 | 当該AZにのみ保存されていたデータは復旧不能 |
| UAE (アラブ首長国連邦) | mec1-az1 / mec1-az3 | 損傷を受けたインフラの交換・修復作業を継続中 | 段階的復旧を目指し継続対応中 |
ここで我々が直視しなければならないのは、「責任共有モデル（Shared Responsibility Model）」の残酷な適用範囲だ。AWSは「クラウド自体の安全（Security of the Cloud）」を担当し、物理インフラの防御や稼働に全力を尽くす。しかし、「クラウド内の安全（Security in the Cloud）」、すなわちデータのバックアップ、マルチリージョンでのデータ二重化、暗号化鍵の保持などは、一貫して「顧客側」の責任範囲である。
「AWSにデータを置いていたのに消された」と叫ぶのは容易だが、契約上および設計上の観点から言えば、単一AZや単一リージョンにしかバックアップを取っていなかった顧客の「設計敗北」として処理されてしまうのがクラウドのビジネスルールだ。過去の障害対応でも我々は「S3バケットのバックアップを忘れてデータロス」「RDSのマルチAZ化をコスト削減でオフにしていてダウンタイム長期化」といった過ちを繰り返してきたが、今回のケースは「クラウド事業者が物理的にデータを防衛できなかった」場合のバックアップ責任が、完全に我々エンジニアの肩に重くのしかかっていることを証明した。
物理脅威時代を生き抜くエンジニアの処方箋
今回の事件を受け、クラウド業界の物理セキュリティに対するアプローチは大きく変わりつつある。例えば、競合のOracleはイスラエルにおいてミサイル攻撃にも耐えうる「地下防空壕型データセンター」の構築を進めている。物理層における要塞化は一つの解だが、すべてのリージョンを地下深くやシェルター内に建設することはコスト的に不可能であり、我々ユーザー側がインフラの不確実性を前提としたアーキテクチャを組む以外に道はない。
では、明日から我々システムアーキテクトやエンジニアは何をすべきか。机上の空論ではない、具体的な実践的処方箋を提示したい。
- クロスリージョン・レプリケーション（CRR）の標準化: 単一リージョン内でのマルチAZ構成は「データセンターの局所障害」には耐えられるが、「戦争・地政学リスク・広域災害」には無力だ。S3 Cross-Region ReplicationやDynamoDB Global Tables、Aurora Global Databaseを活用し、物理的に数百〜数千キロ離れた別国のリージョンへ準リアルタイムでデータを同期させる構成をデフォルトとすべきだ。
- データ転送コスト（Egress Fee）とレイテンシの割り切り: マルチリージョン構成の最大の阻害要因はコストだ。リージョン間のデータ転送課金や、同期書き込みによるレイテンシの増大はビジネス上のボトルネックとなる。しかし、今回のように「データが二度と戻らない」リスクの損失額と、日々のEgress Feeを比較天秤にかけるリスク評価（BCPの見直し）を事業サイドに突きつけるのが我々の責務である。
- マルチクラウド/ハイブリッドクラウドによるロックイン回避: 単一のクラウドベンダー（例：AWS）に依存し切るのではなく、重要なマスターデータだけでもGoogle CloudやMicrosoft Azure、あるいはオンプレミスの堅牢な環境へ非同期バックアップを取るパイプラインを構築することだ。
我々は長年、クラウドを「無限で不滅の仮想空間」として扱ってきた。テラバイト、ペタバイトのデータを画面上のクリック一つで操作できる万能感に酔いしれていたのかもしれない。しかし、ネットワークの末端にあるのは、地政学的リスクの渦中にさらされた物理的なシリコンと銅線の塊なのだ。
あなたの担当するプロダクトは、もし今夜、主要データセンターにミサイルやドローンが着弾し、サーバーラックが物理的に灰燼に帰したとしても、明日顧客にサービスを提供し続けられるだろうか？「クラウドベンダーがなんとかしてくれる」という淡い幻想を捨て去り、地上の物理的現実と向き合った堅牢なコードとインフラを組み上げる覚悟が、今まさに我々に問われている。
コメント